Compromission des clés Web3Auth de MANTRA

Le 13 novembre 2026, MANTRA — la layer-1 dédiée aux actifs du monde réel derrière le token OM — a révélé une faille de sécurité au cours de laquelle des attaquants ont vidé des soldes liquides et forcé le désengagement des tokens stakés des utilisateurs, après qu'une vulnérabilité chez les fournisseurs d'infrastructure de portefeuilles Web3Auth et Keplr eut exposé les clés privées de comptes créés via les connexions sociales Google et Apple. Le montant total dérobé n'a pas été divulgué.

Ce qui s'est passé

MANTRA Chain permet aux utilisateurs de s'inscrire avec une connexion sociale familière — se connecter avec un compte Google ou Apple plutôt que de noter une phrase de récupération. Derrière cette commodité se trouve Web3Auth, un service intégré de gestion de clés qui dérive et conserve la clé de signature du portefeuille pour le compte de l'utilisateur, relié au portefeuille Keplr utilisé dans tout l'écosystème Cosmos.

La cause racine signalée était une vulnérabilité d'infrastructure chez Web3Auth qui a exposé les clés privées d'une partie de ces portefeuilles à connexion sociale — selon un rapport, environ 20 % des comptes concernés. Les portefeuilles protégés par une phrase de récupération de 12 ou 24 mots ou par un appareil matériel n'ont pas été touchés, car leurs clés ne transitent jamais par le fournisseur.

Munis de clés de signature fonctionnelles, les attaquants ont :

1. Vidé les soldes liquides des adresses compromises.
2. Lancé le désengagement proof-of-stake des OM stakés des victimes, afin de convertir les délégations verrouillées en tokens transférables qu'ils pourraient dérober une fois la période de désengagement écoulée — « désengageant leurs MANTRA stakés sans leur consentement », selon les termes de l'équipe.

Conséquences

• MANTRA a imposé une suspension d'urgence de sept jours de toutes les nouvelles transactions de désengagement pour gagner du temps, tout en avertissant que les demandes déjà engagées dans la file d'attente standard de désengagement de huit jours continueraient d'arriver à maturité et devaient être redéléguées immédiatement.
• L'équipe a gelé plusieurs adresses associées aux attaquants on-chain via la Proposition de gouvernance 41.
• Web3Auth et Keplr ont suspendu les connexions OAuth Google et Apple et ont déplacé environ 5,6 millions de dollars d'actifs encore menacés vers des portefeuilles de récupération contrôlés par les fournisseurs, sur les réseaux Cosmos et EVM, avant que les attaquants ne puissent les atteindre.
• Le token OM a chuté d'environ 7,3 % dans les heures qui ont suivi la divulgation. MANTRA a déclaré coordonner la récupération avec les deux fournisseurs ; le total final vidé est resté non divulgué.

Pourquoi c'est important

La faille de MANTRA est une défaillance de clé sous garde à une couche de distance de l'utilisateur : personne n'a perdu de phrase de récupération, et pourtant de nombreux portefeuilles ont été exposés parce que le matériel des clés résidait au sein d'un service tiers partagé. Elle relève du même schéma qu'en 2026 — la compromission opérationnelle et de gestion des clés, et non les bugs de contrats intelligents, provoque les plus grandes pertes — qui a produit le vol du portefeuille chaud de Binance, la faille de Bitget et les vidages de portefeuilles de Duelbits.

Deux leçons ressortent. Premièrement, les portefeuilles à connexion sociale concentrent le risque : la fonctionnalité qui supprime la phrase de récupération retire aussi à l'utilisateur le contrôle exclusif de la clé, de sorte qu'un seul bug du fournisseur devient une compromission de l'ensemble du parc. Deuxièmement, le staking amplifie le rayon d'impact : les attaquants ne pouvaient pas déplacer instantanément les OM verrouillés, mais en les désengageant de force, ils ont transformé un vol de liquidités en une fuite au ralenti, ce qui est précisément la raison pour laquelle la parade de MANTRA a consisté à geler le pipeline de désengagement lui-même.